아임노드

ServerSide: Command Injection  中 인젝션(Injection) 악의적인 데이터를 프로그램에 입력하여 이를 시스템 명령어, 코드, 데이터베이스 쿼리 등으로 실행되게 하는 기법 이용자의 입력을 시스템 명령어로 실행하게 하는 취약점을 Command Injection이라고 부른다. Command Injection이용자의 입력을 적절한 검사 없이 명령어로 사용할 때 발생하는 취약점 시스템 함수는 셸 프로그램에 명령어를 전달하여 실행하는데, 셸 프로그램은 다양한 메타 문자를 지원((&&, ;, | 등)이러한 메타 문자는 여러 개의 명령어를 연속으로 실행시킬 수 있다. 따라서 공격자는 메타 문자를 통해 임의 명령어를 실행하여 셸을 획득할 수 있다. 이러한 취약점을 막으려면 개발자는 입력 ..

ClientSide: CSRF  中 Cross Site Request Forgery (CSRF)사이트 간 요청 위조이용자가 자신의 의지와는 무관하게 공격자가 의도한 행위를 특정 웹사이트에 요청하게 만드는 공격 쉽게 말해 '사용자가 모르는 사이에 특정 동작을 실행시키도록 유도하는 방법'XSS와 CSRF의 차이공통점 모두 클라이언트를 대상으로 하는 공격 이용자가 악성 스크립트가 포함된 페이지에 접속하도록 유도 차이점 XSS는 인증 정보인 세션 및 쿠키 탈취를 목적으로 하는 공격(공격할 사이트의 오리진에서 스크립트를 실행) CSRF는 이용자가 임의 페이지에 HTTP 요청을 보내는 것을 목적으로 하는 공격 ( 공격자는 악성 스크립트가 포함된 페이지에 접근한 이용자의 권한으로 웹 서비스의 임의 기능을 실행할 ..

ClientSide: XSS  中 Cross Site Scripting (XSS)클라이언트 사이드 취약점, 공격자가 웹 리소스에 악성 스크립트를 삽입해 이용자의 웹 브라우저에서 해당 스크립트를 실행하는 취약점XSS 공격은 이용자가 삽입한 내용을 출력하는 기능에서 발생한다. 공격자는 자바스크립트를 통해 이용자에게 보여지는 웹 페이지를 조작하거나, 웹 브라우저의 위치를 임의의 주소로 변경할 수 있다.  워게임 xss-1 문제풀이 완료!  문제풀이 순서)1. 문제로 받은 파이썬 파일 실행하기2. 주요 함수 (check_xss(), index(), vuln(), flag(), memo() 확인)3. 생성 서버 훑어보기 4. 각 페이지에 주소 부분 확인하기 (취약점 확인)  5. XSS 공격 스크립트를 flag ..

Background: Cookie & Session  中 클라이언트의 인증 정보를 포함하고 있는 Cookie와 SessionHTTP 프로토콜 특징Connectionless : 하나의 요청에 하나의 응답을 한 후 연결을 종료하는 것Stateless : 통신이 끝난 후 상태 정보를 저장하지 않는 것-> 이러한 특성 때문에 HTTP 상태를 유지하기 위한 쿠키(Cookie) 탄생 쿠키는 Key와 Value로 이뤄진 일종의 단위로,서버가 클라이언트에게 쿠키를 발급하면, 클라이언트는 서버에 요청을 보낼 때마다 쿠키를 같이 전송한다.서버는 클라이언트의 요청에 포함된 쿠키를 확인해 클라이언트를 구분할 수 있다. 쿠키는 클라이언트의 정보 기록과 상태 정보를 표현하는 용도로 사용  쿠키 변조악의적인 클라이언트는 쿠키 ..

Background: web 中인터넷을 기반으로 구현된 서비스 중 HTTP를 이용하여 정보를 공유하는 서비스를 웹이라고 한다.여기서 정보를 제공하는 주체를 웹 서버(Web Server), 정보를 받는 이용자를 웹 클라이언트(Web Client)라고 한다.  Background: HTTP/HTTPS 中 HTTP(HyperText Transfer Protocol)웹 서버와 클라이언트가 리소스를 교환하기 위해 사용하는 프로토콜클라이언트가 요청하면, 서버가 응답하는 방식HTTP 메시지HTTP 서버와 클라이언트가 교환하는 데이터헤드와 바디로 구성되며, 각 줄은 CRLF로 구분됨HTTP 요청(Request)클라이언트가 -> 서버에게 특정 동작을 요청하는 메시지HTTP 응답(Response)요청을 처리한 결과 및 이..

저번 강의에서 강사님이 소개해주신 Dreamhack 사이트.난 아직 개념이 머리속에 확실하게 확립되어 있지않아추가적인 이해를 위해 틈틈히 병행해보기로 했다. 소개해주신 사이트는 Dreamhack과 Tryhackme로 두 개였는데,한글버전으로 드림핵이 잘되어 있기도 하고 초심자부터 빠르게시작할 수 있을 것 같아 드림핵을 선택했다. 일단 Web hacking 일부분을 바로 학습해봤는데학습 내용에 대한 설명도 쉽고, 특히 나는 영상보다는 텍스트 위주의 학습을 선호하는 편이었고이외에도 퀴즈 및 실습으로 나눠져있어 공부했던 내용을 점검해볼 수 있는 장치도 마련되어 있다는 점이 좋았다. 이곳은 Dreamhack 공부 내용을 기록하면서 진도를 확인하고각각의 대주제에 대한 개념 정의에 대해서 간단히 알아볼 생각이다.